NIS2 na Alemanha: explicação sobre a NIS2UmsuCG (2026)

Em resumo: a Alemanha transpôs a NIS2 com atraso, mas de forma rigorosa. A Lei de Implementação da NIS2 (NIS2UmsuCG) e a nova Lei do BSI (BSIG) estão em vigor desde 6 de dezembro de 2025, sem período de transição. Cerca de 29.500 organizações estão abrangidas pela legislação, divididas em entidades “particularmente importantes” (besonders wichtige) e “importantes” (wichtige). Elas tiveram que se registrar junto ao BSI no prazo de três meses, ou seja, até 6 de março de 2026; em meados de 2026, estimava-se que 10.500 ainda não tivessem feito isso. O registro continua sendo obrigatório, as multas podem chegar a € 10 milhões ou 2% do faturamento global, e a diretoria é pessoalmente responsável. Este guia explica quem é afetado, o que o BSI espera e o que fazer em caso de atraso.

Cronologia: como a Alemanha chegou a este ponto

Quem é afetado: o âmbito de aplicação na Alemanha

Fontes oficiais: a página de informações sobre a NIS2 do BSI destinada a empresas regulamentadas (em alemão) e sua ferramenta gratuita de autoavaliação da NIS2 (Betroffenheitsprüfung) informam, em dez minutos, se sua empresa está sujeita à norma. O texto legal é a nova BSIG 2025, disponível no site gesetze-im-internet.de.

O BSIG segue a lógica da NIS2, mas utiliza seus próprios termos:

• Entidades de particular importância (besonders wichtige Einrichtungen): grandes empresas (com mais de 250 funcionários ou faturamento de 50 milhões de euros e balanço patrimonial de 43 milhões de euros) nos setores de alta criticidade (energia, transporte, setor bancário, infraestrutura do mercado financeiro, saúde, água, esgoto, infraestrutura digital, gestão de serviços de TIC, administração pública, setor espacial), além de operadores de infraestrutura crítica (KRITIS), independentemente do porte, prestadores de serviços de confiança qualificados, registros de TLD e provedores de DNS.
• Entidades importantes (wichtige Einrichtungen): empresas de médio porte (50 ou mais funcionários ou faturamento e balanço patrimonial de 10 milhões de euros) nos setores de alta criticidade, e empresas de médio e grande porte nos demais setores críticos (serviços postais e de entrega, resíduos, produtos químicos, alimentos, fabricação de dispositivos médicos, maquinário, veículos e eletrônicos, provedores digitais, pesquisa).
• Administração federal: regulamentada separadamente na BSIG, com suas próprias obrigações.

O BSI estima que o total seja de cerca de 29.500 organizações, a maioria delas entidades “importantes” do setor manufatureiro. O BSI disponibiliza uma autoavaliação on-line (Betroffenheitsprüfung); a lei exige que você avalie sua própria situação, sem esperar por uma carta.

As obrigações previstas na BSIG

1. Registro junto ao BSI

No prazo de três meses após passar a estar sujeito ao escopo, por meio do portal da BSI e da conta empresarial “Mein Unternehmenskonto”: dados da empresa, setor, informações de contato, intervalos de IP e os Estados-Membros onde você opera. As alterações devem ser comunicadas no prazo de duas semanas. O prazo para as entidades que estavam sujeitas ao escopo desde o primeiro dia era 6 de março de 2026. Se você ainda não se registrou, faça-o agora; a obrigação não prescreve e o registro voluntário tardio é tratado de forma mais favorável do que ser identificado.

2. Medidas de gestão de riscos (art. 30 da BSIG)

As dez medidas mínimas do NIS2, proporcionais ao risco: análise de risco e políticas de segurança, tratamento de incidentes, continuidade de negócios e backup, segurança da cadeia de suprimentos, aquisição e desenvolvimento seguros, avaliação de eficácia, higiene cibernética e treinamento em segurança cibernética, criptografia, controle de acesso e gestão de ativos, e autenticação multifatorial e comunicação segura. Entidades de particular importância também devem utilizar sistemas de detecção de ataques quando atuarem como operadores KRITIS.

3. Notificação de incidentes (§ 32 da BSIG)

Alerta prévio em até 24 horas, notificação em até 72 horas e relatório final em até um mês, por meio do portal de notificação do BSI. Incidentes “significativos” são aqueles que causam graves perturbações operacionais ou prejuízos financeiros, ou que afetam terceiros.

4. Deveres da administração (§ 38 da BSIG)

A administração deve aprovar e supervisionar as medidas de gestão de riscos e deve participar regularmente de treinamentos sobre segurança cibernética. Os gestores são pessoalmente responsáveis por violações desse dever nos termos da legislação societária alemã; a BSIG exclui explicitamente a possibilidade de a empresa isentar-se dessa responsabilidade.

5. Comprovação e supervisão

A BSI pode solicitar informações e provas, determinar a realização de auditorias e, no caso de entidades de particular importância, exercer supervisão proativa. As multas podem chegar a € 10 milhões ou 2% do faturamento global para entidades de particular importância e a € 7 milhões ou 1,4% para entidades importantes.

Perdeu o prazo de inscrição? Faça o seguinte

1. Faça hoje mesmo a autoavaliação do BSI e registre o resultado, inclusive caso conclua que você está fora do escopo.
2. Inscreva-se imediatamente, se estiver dentro dos critérios. É melhor se inscrever tarde do que não se inscrever, e o processo de inscrição em si leva menos de uma hora, desde que você já tenha uma conta empresarial.
3. Avaliação de lacunas com base no § 30. A maioria das PMEs alemãs identifica três lacunas: segurança da cadeia de suprimentos, tratamento documentado de incidentes e treinamento sem comprovação.
4. Anote os dados no registro de treinamento. O § 38 exige isso, e é a primeira coisa que um auditor solicita. Os desafios semanais da Guardey incluem um acompanhamento da gestão e a elaboração de relatórios de conclusão por pessoa.
5. Teste o fluxo de notificação de 24 horas. Quem percebe, quem decide, quem registra? Faça um ensaio.

Treinamento como prova: o que o BSI aceita

Nem a diretiva nem a BSIG determinam um formato específico, mas a “treinamento em higiene cibernética e segurança cibernética” deve ser comprovável. Uma apresentação de slides anual acompanhada de uma folha de presença constitui evidência fraca; um programa contínuo com dados de conclusão por funcionário, resultados de simulações de phishing e um registro de treinamento da gerência constitui evidência sólida. O treinamento de conscientização em segurança da Guardey está disponível em alemão, tem duração de três minutos por semana, inclui simulações de phishing e gera os relatórios para a NIS2, a ISO 27001 e outras estruturas.

Perguntas frequentes

A NIS2 já está em vigor na Alemanha?

Sim. O NIS2UmsuCG e o novo BSIG estão em vigor desde 6 de dezembro de 2025. Não há período de transição.

Quem deve se registrar no BSI?

Todas as entidades de importância especial e importante, no prazo de três meses a partir do momento em que passarem a estar sujeitas à regulamentação. Para as organizações que já estavam sujeitas à regulamentação em 6 de dezembro de 2025, o prazo final era 6 de março de 2026. O registro ainda é obrigatório caso você não tenha feito a tempo.

Qual é a diferença entre “besonders wichtig” e “wichtig”?

Tamanho e setor. As grandes empresas em setores de alta criticidade e os operadores KRITIS são considerados “particularmente importantes” (supervisão proativa, multas mais elevadas); as empresas de médio porte nesses setores e as empresas de médio e grande porte nos demais setores são consideradas “importantes” (supervisão reativa).

A norma NIS2 na Alemanha exige treinamento dos funcionários?

Sim. O § 30 da BSIG inclui a higiene cibernética e o treinamento em segurança cibernética entre as medidas obrigatórias, e o § 38 obriga a própria diretoria a participar desses treinamentos.

Onde posso encontrar o texto oficial?

A NIS2UmsuCG foi publicada no Diário Oficial Federal (BGBl. 2025 I, n.º 301). As páginas do BSI dedicadas à NIS-2 contêm a autoavaliação, o portal de registro e as perguntas frequentes. Para ter uma visão geral do panorama na UE, consulte nosso guia NIS2 de 2026 e a comparação entre NIS1 e NIS2.